新一轮挂马攻击来袭，打开游戏就中招！

近日，360互联网安全中心监测到又一轮CVE-2018-4878挂马攻击在国内爆发。本轮攻击于4月19日开始，黑客将恶意代码插入国内知名下载站52pk.com的部分页面中，这些页面一般以52pk游戏启动器展示页面的形式存在。因此用户在访问相关页面或者通过52pk游戏启动器启动游戏时就可能中招。中招用户计算机中将被植入恶意挖矿木马，占用计算机资源挖取门罗币。
CVE-2018-4878是存在于Adobe Flash Player 28.0.0.137及之前版本的远程代码执行漏洞，之前被发现用于投放勒索木马和挖矿木马，在本月初，我们发现该漏洞开始在国内被利用（见报告《CVE-2018-4878国内首现野外利用，释放挖矿木马牟利》）。而本次挂马攻击是CVE-2018-4878漏洞挂马在国内第一次大规模爆发。

攻击分析
被挂木马页面的URL为hxxp://down.52pk.com/cw/index_new.shtml。黑客在页面中嵌入了一个<>标签，脚本内容指向hxxp://advertmention.com/js/ads.min.js。图1左侧展示了被挂马的页面，右侧红框中即为被插入的脚本。

                              图1
hxxp://advertmention.com/js/ads.min.js会在页面中嵌入一段html代码，这段html代码加载地址为hxxp://advertmention.com/affilate/adv.php的flash对象，该flash对象即是cve-2018-4878的漏洞利用载荷。图2展示了这段嵌入到页面中的html代码。

                              图2
         漏洞利用成功后将在%appdata%\\Microsoft\\Security目录下植入文件名为mcrstdio.exe的挖矿木马，占用用户计算机资源挖取门罗币。由漏洞触发到挖矿机执行的完整流程如图三所示。

                            图3
影响范围
         挂马攻击出现在52pk.com的主站，以及52pk游戏启动器，用户在通过浏览器访问52pk下载站以及打开游戏时均可能中招。特别是52pk游戏启动器，这是所有从52pk.com站点下载的游戏启动时的必经之路，而挂马攻击最终执行的又是严重影响系统性能的挖矿木马，因此此次攻击对游戏玩家危害巨大。请游戏玩家及时自检。

           图4游戏启动器界面

防御措施
1.使用安全软件漏洞修复功能修复相关的flash漏洞。
2.目前针对此类挖矿木马360安全卫士已经可以成功拦截和清除。

IOC
MD5s
ce2de0ab991d71b9d91cefd6799a55f1
e913da686ecd6eaf29a36a7c7fcf7630
5eb818c4766f8ce4d11ce740f83b60fe
fd42bde6e7f4e645016a627796f91e48
51b38d33bcb3eb798d6b20c04502b36d
7e0e818fcb069e1dda90165f4c5b6534
URLs
hxxp://advertmention.com/js/ads.min.js
hxxp://advertmention.com/affilate/adv.php
hxxp://advertnotices.com/index.php
hxxp://owtincome.advertmention.com/index.php1
hxxp://microsoft.adverthelp.com/index.php1
hxxp://microsoft.adverthelp.com/index.php
hxxp://slim.adverthelp.com/index.php1
hxxp://harder.advertmention.com/index.php